Comment gérer les requêtes HTTP surdimensionnées dans AWS WAF ?

Brève description

Lorsque le corps d'une requête Web dépasse la limite de taille d'inspection de corps, le service hôte sous-jacent ne transmet que le contenu qui se situe dans cette limite à AWS WAF. AWS WAF ne détecte pas les attaques par scripts inter-site (XSS) ou les modèles d'injection SQL dans le corps de requête Web au-delà de la limite autorisée.

Remarque : AWS WAF ne journalise pas le contenu du corps de requête Web, qu'il trouve ou non un modèle d'attaque dans la limite de la taille d'inspection de corps.

Pour vous protéger contre les modèles d'attaque qui n'apparaissent pas dans la limite de la taille d'inspection de corps pour les requêtes surdimensionnées, configurez une règle qui bloque toutes les requêtes surdimensionnées. Puis, créez une règle qui autorise explicitement les requêtes surdimensionnées légitimes. Vous pouvez créer une règle personnalisée ou utiliser le groupe de règles gérées par l'ensemble de règles de base (CRS).

Résolution

Utiliser une règle gérée par le CRS

Pour utiliser le groupe de règles gérées par le CRS, activez la règle SizeRestrictions_Body pour bloquer les requêtes dépassant 8 Ko (8 192 octets). Puis, créez une règle qui autorise les requêtes légitimes dépassant la limite de taille.

Activer la règle SizeRestrictions_Body

Procédez comme suit :

1. Ouvrez la console AWS WAF.
2. Dans le volet de navigation, sous AWS WAF, sélectionnez Liste ACL Web.
3. Dans Région, sélectionnez la région AWS dans laquelle vous avez créé votre liste de contrôle d'accès Web (liste ACL Web).
   Remarque : Si vous avez configuré votre ACL Web pour Amazon CloudFront, sélectionnez Global.
4. Sélectionnez votre liste ACL Web.
5. Sous Règles, sélectionnez Ajouter des règles.
6. Dans la liste déroulante, sélectionnez Ajouter des groupes de règles gérées.
7. Sous Ajouter des groupes de règles gérées, choisissez Groupes de règles gérés par AWS.
8. Sous Groupes de règles libres, choisissez Ensemble de règles de base.
9. Activez Ajouter à l'ACL Web, puis sélectionnez Modifier.
10. Pour inspecter et bloquer les corps de requêtes Web dépassant 8 Ko, définissez la règle SizeRestrictions_BODY sur Bloquer.
11. Choisissez Enregistrer la règle.

Pour réduire le nombre de faux positifs, utilisez uniquement la règle SizeRestrictions_Body et remplacez toutes les autres règles par Nombre.

Créer une règle qui autorise les requêtes légitimes

La règle SizeRestrictions_Body peut bloquer les requêtes légitimes dépassant 8 Ko. Pour autoriser les requêtes légitimes dépassant la limite de taille, définissez la règle SizeRestrictions_BODY sur Nombre. Puis, utilisez les étiquettes ajoutées par AWS WAF pour une évaluation ultérieure des règles.

Procédez comme suit :

1. Ouvrez la console AWS WAF.
2. Dans le volet de navigation, sous AWS WAF, sélectionnez Liste ACL Web.
3. Dans Région, sélectionnez la région AWS dans laquelle vous avez créé votre liste ACL Web.
   Remarque : Si vous avez configuré votre ACL Web pour CloudFront, sélectionnez Global.
4. Sélectionnez votre liste ACL Web.
5. Sous Règles, sélectionnez AWS-AWSManagedRulesCommonRuleSet.
6. Sélectionnez Modifier.
7. Pour la règle SizeRestrictions_BODY, sélectionnez Remplacer par Nombre.
8. Choisissez Enregistrer la règle.
9. Sous Règles, sélectionnez Ajouter des règles, puis sélectionnez Ajouter mes propres règles et groupes de règles.
10. Dans Nom, entrez un nom de règle, puis choisissez Règle régulière.
11. Dans S’il s’agit d’une requête, sélectionnez correspond à toutes les instructions (ET).
12. Dans Instruction 1, entrez les informations suivantes :
    Dans Inspecter, choisissez Inclut une étiquette.
    Dans Portée de correspondance, sélectionnez Étiquette.
    Dans Clé de correspondance, entrez l’étiquette awswaf:managed:aws:core-rule-set:SizeRestrictions_Body.
13. Dans Instruction 2, entrez les informations suivantes :
    Choisissez Passer les résultats de l’instruction en nombre négatif.
    Dans Inspecter, sélectionnez Chemin URI.
    Dans Type de correspondance, choisissez ** Correspond exactement à la chaîne**.
    Dans Chaîne à faire correspondre, saisissez /upload.
    Remarque : Remplacez /upload par le chemin URI où vous soumettez des requêtes.
14. (Facultatif) Dans Transformation de texte, choisissez une transformation de texte ou sélectionnez Aucune.
15. Dans Action, choisissez Bloquer.
16. Sélectionnez Ajouter une règle.
17. Dans Définir la priorité de la règle, mettez à jour la priorité de manière que la règle soit secondaire au groupe de règles gérées par le CRS. La règle SizeRestrictions_Body du CRS peut maintenant ajouter une étiquette, et AWS WAF peut utiliser cette dernière dans les règles suivantes.
18. Choisissez Enregistrer la règle.

Remarque : Il est recommandé de tester les règles dans un environnement hors production en définissant le paramètre Action sur Nombre. Pour évaluer la règle, utilisez les métriques Amazon CloudWatch avec les échantillons de requêtes AWS WAF ou les journaux AWS WAF.

Créer une règle d'inspection de corps personnalisée

Configurer l'action de traitement des requêtes surdimensionnées pour la règle

Lorsque vous configurez une règle d'inspection de corps personnalisée, vous pouvez choisir l'action de traitement des requêtes surdimensionnées. La gestion des surtailles indique à AWS WAF les actions à effectuer pour une requête Web lorsque le corps de requête dépasse la limite de taille. Les options permettant de gérer les composants surdimensionnés sont Continuer, Correspondance et Aucune correspondance. Sur la console AWS WAF, vous devez choisir l'une de ces options. En dehors de la console, l'option par défaut est définie sur Continuer. Pour bloquer les requêtes surdimensionnées, créez une règle personnalisée qui utilise l'action de traitement des requêtes surdimensionnées.

Créer une règle qui autorise les requêtes légitimes

Pour autoriser les requêtes légitimes dépassant la limite de taille, créez une règle qui autorise explicitement les requêtes provenant d'hôtes légitimes. Puis, mettez à jour la priorité de la règle afin qu'elle soit supérieure à la priorité de la règle qui bloque la requête.

Informations connexes

Pourquoi AWS WAF bloque-t-il ma requête de chargement légitime ?